Прикладная архитектура безопасности бизнеса Шервуда

SABSA ( Шервудская прикладная архитектура безопасности бизнеса ) представляет собой модель и методологию разработки рисками управляемой архитектуры информационной безопасности предприятия и управления услугами для поддержки критически важных бизнес-процессов . Он был разработан независимо от Zachman Framework , но имеет схожую структуру. Основная характеристика модели SABSA заключается в том, что все должно быть получено на основе анализа бизнес -требований к безопасности, особенно тех, в которых безопасность имеет вспомогательную функцию, посредством которой могут быть разработаны и использованы новые бизнес-возможности.

В этом процессе с самого начала анализируются бизнес-требования и создается цепочка прослеживаемости на протяжении всей стратегии и концепции, проектирования, реализации и текущих этапов жизненного цикла «управление и измерение», чтобы гарантировать сохранение бизнес-задач. Инструменты платформы, созданные на основе практического опыта, дополнительно поддерживают всю методологию.

Модель является многоуровневой, причем верхний уровень является этапом определения бизнес-требований. На каждом нижнем уровне разрабатывается новый уровень абстракции и детализации, проходя через определение концептуальной архитектуры, архитектуры логических сервисов, архитектуры физической инфраструктуры и, наконец, на самом нижнем уровне — выбор технологий и продуктов (архитектура компонентов).

Модель SABSA сама по себе является общей и может стать отправной точкой для любой организации, но, пройдя через процесс анализа и принятия решений, подразумеваемый ее структурой, она становится специфичной для предприятия и, наконец, в значительной степени адаптируется к уникальной бизнес-модели. . На самом деле это становится архитектурой безопасности предприятия и имеет решающее значение для успеха стратегической программы управления информационной безопасностью внутри организации.

SABSA является частным примером методологии, которую можно использовать как для ИТ (информационных технологий), так и для ОТ (операционных технологий).

Матрица САБСА

	Активы (что)	Мотивация (почему)	Процесс (Как)	Люди (Кто)	Местоположение (Где)	Время (Когда)
Контекстуальный	Бизнес	Модель бизнес-рисков	Модель бизнес-процесса	Организация бизнеса и отношения	География бизнеса	Зависимость от рабочего времени
Концептуальный	Профиль бизнес-атрибутов	Цели контроля	Стратегии безопасности и многоуровневая архитектура	Модель объекта безопасности и структура доверия	Модель домена безопасности	Срок действия и сроки, связанные с безопасностью
Логический	Модель бизнес-информации	Политики безопасности	Услуги безопасности	Схема объекта и профили привилегий	Определения и ассоциации доменов безопасности	Цикл обработки безопасности
Физический	Модель бизнес-данных	Правила, практика и процедуры безопасности	Механизмы безопасности	Пользователи, приложения и пользовательский интерфейс	Платформа и сетевая инфраструктура	Контроль выполнения структуры
Компонент	Подробные структуры данных	Стандарты безопасности	Продукты и инструменты безопасности	Идентификаторы, функции, действия и списки управления доступом	Процессы, узлы, адреса и протоколы	Время и последовательность шагов безопасности
Оперативный	Обеспечение непрерывности работы	Управление операционными рисками	Управление и поддержка службы безопасности	Управление приложениями и пользователями и поддержка	Безопасность сайтов и платформ	График работы службы безопасности

Примечание. Вышеуказанное представляет собой исходную матрицу SABSA, которая действует и сегодня, но была расширена за счет комплексной матрицы управления услугами и обновлена ​​в некоторых областях детализации и терминологии. По словам Дэвида Линаса, автора SABSA: «Матрица SABSA и Матрица управления услугами SABSA не обновлялись с конца 90-х годов. Мы переработали их, чтобы обеспечить улучшения, о которых просили ваши отзывы на протяжении многих лет. Мы не изменились фундаментально. структура или принципы матриц (очень немногие элементы изменили положение), но основное внимание было уделено обновлению и последовательности терминологии». Новые версии можно загрузить (вместе с версией Белой книги SABSA 2009 года и другими важными документами, такими как план сертификации SABSA) на веб-сайте членов SABSA .

Ссылки

• Метод САБСА
• Джон Шервуд, Эндрю Кларк, Дэвид Линас (2004) « Архитектура безопасности предприятия: бизнес-ориентированный подход » ISBN 9781578203185 (ISBN 157820318X)

Внешние ссылки

• Сайт САБСА
• Институт САБСА
• Рекомендации института SABSA для структуры кибербезопасности NIST версии 2.0